Использование VLAN между двумя марутизаторами MikroTik
В моей домашней сети все устройства, относящиеся к умному дому отселены в отдельную сеть, это не только шлюзы и лампы Xiaomi, а также телевизор, медиа проигрыватель, ресивер, различные Wi-Fi реле и розетки, и, конечно сервер Home Assistant. Это повышает безопасность, устройства локальной сети, кроме избранных, не будут иметь доступ к ресурсам умного дома и соответственно вероятность того, что кто-то случайно или специально выкрутит громкость ресивера на максимум со своего телефона не велика, а беря в руки пульт или прикасаясь к ручке громкости можно получить в лоб этим самым пультом.
Вводная
Собственно, есть два устройства MikroTik, RB4011 и RB962, оба маршрутизаторы, первый работает как шлюз для доступа в интернет и switch, второй как switch и Wi-Fi точка доступа. В устройствах собрано по два бриджа, для домашней локальной сети и сети умного дома, Wi-Fi точка доступа домашней сети работает в диапазонах 2.4G и 5G, Wi-Fi точка для подключения устройств УД только в 2.4G. Устройства находятся в разных помещениях квартиры и соединены проводом. Что бы не тянуть второй провод и обеспечения передачи трафика обоих сетей между устройствами будут использоваться VLAN'ы, питание на второе устройство будет подаваться по этому же проводу посредствам PoE.
Наверно здесь должно быть описание что такое VLAN'ы, для чего они нужны и как это работает, но этого не будет, считаем, что читатель уже знает, что это такое. Единственное замечание, это то, что описанный ниже способ, является программной реализацией обработки VLAN и вся нагрузка ложится на ЦП.
Настройка первого роутера
Устройство RB4011 имеет десять ethernet портов плюс порт SFP-SFP+. Порт SFP мы рассматривать не будем, в итоге мы должны будем получить следующую конфигурацию:
- Порт ether1 - интернет (WAN порт), считаем, что интернет на устройстве уже настроен
- Bridge 18, IP адрес 192.168.18.1, ethernet порты 6 - 9, vlan18 untagged - сеть умного дома
- Bridge 22, IP адрес 192.168.22.1, ethernet порты 2 - 5, vlan22 untagged - домашняя локальная сеть
- Порт ether10 - trunk порт на второе устройство, vlan18 tagged, vlan22 tagged
Переименовываем порт ether10 в ether10-trunk, что бы было понятнее:
/interface ethernet set ether10 name="ether10-trunk"
Создаем vlan18 и vlan22 с соответствующими VLAN ID, оба вешаем на порт ether10-trunk, трафик на этом порту будет Tagged.
/interface vlan add name="vlan18" vlan-id=18 interface=ether10-trunk /interface vlan add name="vlan22" vlan-id=22 interface=ether10-trunk
Создаем бриджи для двух сетей и назначаем им адреса, добавляем порты и VLAN'ы в соответствующие бриджи, трафик на портах бриджа будет Untagged.
/interface bridge add name="bridge18" /interface bridge add name="bridge22" /ip address add address=192.168.18.1 interface=bridge18 /ip address add address=192.168.22.1 interface=bridge22 /interface bridge port add bridge=bridge18 interface=ether6 /interface bridge port add bridge=bridge18 interface=ether7 /interface bridge port add bridge=bridge18 interface=ether8 /interface bridge port add bridge=bridge18 interface=ether9 /interface bridge port add bridge=bridge18 interface=vlan18 /interface bridge port add bridge=bridge22 interface=ether2 /interface bridge port add bridge=bridge22 interface=ether3 /interface bridge port add bridge=bridge22 interface=ether4 /interface bridge port add bridge=bridge22 interface=ether5 /interface bridge port add bridge=bridge22 interface=vlan22
Настройка второго роутера
Устройство RB962 имеет пять ethernet портов плюс порт SFP, два WLAN интерфейса, на wlan1 работает 2.4G, wlan2 на 5G, оба задействованы для локальной домашней сети, для сети УД создан дополнительный виртуальный WLAN интерфейс wlan-smarthome работающий на 2.4G. Порт SFP мы, как и ранее, рассматривать не будем, но по необходимости его можно задействовать в своих нуждах. В конечном итоге конфигурация должна быть следующей:
- Порт ether1 - trunk порт на первое устройство, vlan18 tagged, vlan22 tagged
- Bridge 18, IP адрес 192.168.18.2, ethernet порты 2 - 5, виртуальный интерфейс wlan 2.4G, vlan18 untagged - сеть умного дома
- Bridge 22, IP адрес 192.168.22.2, основные wlan интерфейсы 2.4G и 5G, vlan22 untagged - домашняя локальная сеть
Переименовываем порт ether1 в ether1-trunk, что бы было понятнее:
/interface ethernet set ether1 name="ether1-trunk"
Создаем vlan18 и vlan22 с соответствующими VLAN ID, оба вешаем на порт ether1-trunk, трафик на этом порту будет Tagged.
/interface vlan add name="vlan18" vlan-id=18 interface=ether1-trunk /interface vlan add name="vlan22" vlan-id=22 interface=ether1-trunk
Создаем бриджи для двух сетей и назначаем им адреса, добавляем порты и VLAN'ы в соответствующие бриджи, трафик на портах бриджа будет Untagged.
/interface bridge add name="bridge18" /interface bridge add name="bridge22" /ip address add address=192.168.18.2 interface=bridge18 /ip address add address=192.168.22.2 interface=bridge22 /interface bridge port add bridge=bridge18 interface=ether2 /interface bridge port add bridge=bridge18 interface=ether3 /interface bridge port add bridge=bridge18 interface=ether4 /interface bridge port add bridge=bridge18 interface=ether5 /interface bridge port add bridge=bridge18 interface=wlan-smarthome /interface bridge port add bridge=bridge18 interface=<strong>vlan18</strong> /interface bridge port add bridge=bridge22 interface=wlan1 /interface bridge port add bridge=bridge22 interface=wlan2 /interface bridge port add bridge=bridge22 interface=<strong>vlan22</strong>
Теперь весь трафик, исходящий с устройства подключенного к RB962 направленный на устройство, подключенное к RB4011 сначала попадает в бридж, далее в порт ether1-trunk, тегируется соответствующим VLAN ID, попадает в порт ether10-trunk на RB4011, снимается тег VLAN ID, попадает в соответствующий бридж и затем в устройство назначения.
Настройка Firewall описана не будет, но о его настройке можно почитать в статье: Настройка Firewall на шлюзе MikroTik.